PBI Auth Manager

Credenciais Power BI

Service Principals e Master Users cadastrados

💡 Prefere automatizar em vez de seguir o Guia Azure manualmente? Baixe o script acima e rode no computador do seu time de TI — ele cria tudo no Azure sozinho e já cadastra a credencial aqui.

Trocar Credencial

Migra usuários e itens de carrossel de uma credencial pra outra, sem republicar relatórios

Credencial atual

Credencial nova

App (celular)

A versão móvel do portal — instale no celular pra acessar o Power BI direto da tela inicial

Usuários do Portal

Pessoas da sua equipe que só visualizam relatórios — sem nenhum acesso administrativo

ℹ️ Importante: as pessoas cadastradas aqui só conseguem ver os relatórios que você atribuir a elas — não têm acesso a credenciais, configurações, nem podem criar outros usuários. Não existe hoje uma forma de convidar um segundo administrador com o mesmo acesso que o seu.

Todos 0

Ativos 0

Inativos 0

Sem credencial 0

Grupos / Departamentos

Organize relatórios e usuários por grupo — todo mundo do grupo recebe os relatórios automaticamente

Personalização

Seu próprio endereço, cor e logo — só disponível com o plano Master ativo

Seu endereço de acesso

.analyticdbi.com.br

Só letras minúsculas, números e hífen. Depois de salvar, acesse direto por esse endereço.

Domínio próprio (opcional)

Use um domínio 100% seu (ex: portal.suaempresa.com.br) — seus clientes nunca veem "analyticdbi" na URL.

Logo

Cor principal

Botões de ação, item ativo do menu, links

#3B82F6

Cor secundária (opcional)

Botões secundários, hover, badges alternativos

—

Cor terciária (opcional)

Bordas, realces sutis, tags e etiquetas

—

Cor de fundo das telas (opcional)

Usada no tema médio no lugar do azul-marinho — mantenha um tom escuro p/ combinar com a sua logo

—

Escolha as cores do logotipo: principal (botões/realces), secundária/terciária (variações) e, se quiser, uma cor de fundo que substitui o azul do tema médio pelas cores da sua logo. Deixando secundária/terciária/fundo em branco, o sistema deriva ou mantém o padrão.

Quem deve fazer isso: alguém com Administrador Global (ou Administrador de Aplicativo + Administrador do Power BI) na organização Microsoft do cliente — normalmente o time de TI.

Prefiro usar o script PowerShell (alternativa)

Gerenciar Workspaces

Criar, renomear ou excluir workspaces do Power BI usando a credencial abaixo

Credencial

— Selecione —

▾

Nome do novo workspace

Workspace

Selecione um workspace da lista e use Renomear ou Excluir.

Nova credencial Power BI

Secrets criptografados com AES-256 antes de salvar

Selecionar credencial para editar

Service Principal

Client Credentials (recomendado)

Master User

ROPC — Usuário + Senha AAD

Nome da conexão *

Tenant ID *

Client ID *

Client Secret *

Secret válido até *

Workspace ID padrão (opcional)

Guia de configuração — Azure AD + Power BI

Passo a passo técnico para liberar o acesso via API. Escolha o tipo de conexão que vai usar.

Vídeo passo a passo

Service Principal

Master User

Carregando vídeo…

Pra ativar "Entrar com Microsoft" pra sua empresa, você não precisa mais copiar nada do Azure Portal. Basta escolher uma credencial Power BI na aba Configurações — o Tenant ID é preenchido automaticamente a partir dela. É uma configuração única por empresa.

Cadastre uma credencial Power BI (Service Principal ou Master User) — ela é o que define o Tenant da sua empresa.
Vá em Configurações → aba SSO e selecione essa credencial no campo "Credencial Power BI (define o Tenant do SSO)".
O Tenant ID aparece sozinho, preenchido pela credencial — não precisa digitar nem copiar do Azure Portal.
Clique em Salvar. Pronto — quem entrar com Microsoft e pertencer a esse Tenant já consegue acessar.

ℹ️ Depois de salvo, todo mundo da empresa (você e seus usuários) já pode usar o botão "Entrar com Microsoft" na tela de login — não precisa repetir esse passo por pessoa, é uma configuração única por empresa. O que muda entre os perfis é só quem consegue entrar: com o Tenant definido, só quem pertence a esse Tenant acessa.

Vai usar capacidade Fabric? Leia antes de contratar

Se a intenção é economizar pausando a capacidade fora do horário de uso (esse app já tem essa automação em Configurações), o modelo de contratação escolhido no momento da compra determina se essa economia realmente acontece.

Pay-as-you-go (cobrança por hora/segundo)

É o modelo padrão ao contratar pelo portal do Fabric/Power BI escolhendo Subscription + Resource Group do Azure. Pausada, a capacidade não gera custo de computação — é literalmente pra isso que serve o pause/resume.

Reserva (1 ou 3 anos)

Já foi pago antecipado pelo período inteiro. Pausar não devolve nem economiza dinheiro — só significa "não estou usando o que já paguei". Só compensa financeiramente com uso contínuo.

ℹ️ Independente do modelo escolhido: o armazenamento no OneLake (os dados dentro dos workspaces vinculados) é cobrado à parte, como medidor separado — continua rodando mesmo com a capacidade pausada, porque é custo de guardar o dado, não de processar.

💡 Como confirmar na prática: depois de configurar o agendamento, veja no Azure Cost Management (Custos → Cost analysis, filtrando pelo recurso da capacidade) se o consumo realmente zera nas janelas pausadas — isso confirma qual modelo vocês têm, sem depender só da documentação.

Service Principal

Recomendado para produção

Master User

Mais simples, com limitações

⚠️ Quem consegue fazer esse fluxo: as etapas 3 e 4 abaixo (conceder permissões de API e habilitar Service Principals no Power BI) só podem ser feitas por quem é Administrador do Azure AD (Global Administrator / Application Administrator) e Administrador do Power BI (Fabric/Power BI Administrator) na organização do cliente — normalmente é o time de TI, não quem está fazendo o teste do produto.

1️⃣ Criar o App Registration no Azure AD

Acesse portal.azure.com → Microsoft Entra ID (antigo Azure AD) → App registrations → New registration.
• Dê um nome (ex: "PBI Embed - Nome da Empresa").
• Em "Supported account types", escolha "Accounts in this organizational directory only" (single-tenant).
• Redirect URI: pode deixar em branco.
Depois de criado, na página Overview do app, anote:

Application (client) ID → vira o Client ID Directory (tenant) ID → vira o Tenant ID

2️⃣ Criar o Client Secret

Dentro do app registration → Certificates & secrets → New client secret.
• Dê uma descrição.
• Escolha a validade (expiration): as opções do Azure são normalmente 3, 6, 12, 18, 24 meses, ou uma data customizada. Recomendado: 24 meses (o máximo), pra não precisar renovar com frequência.

⚠️ Atenção — isso derruba a integração se for esquecido: o valor do secret (coluna "Value") só aparece uma única vez, no momento em que é criado. Se sair da tela sem copiar, precisa gerar outro. E quando a validade escolhida vencer, os relatórios param de carregar (a geração de token falha) até alguém gerar um novo secret no Azure e atualizar a credencial aqui no sistema. Recomendamos anotar a data de expiração em um lembrete/calendário.

3️⃣ Conceder permissões de API (Power BI Service)

Dentro do app registration → API permissions → Add a permission → Power BI Service.
• Tipo: Application permissions (não "Delegated" — o Service Principal age sozinho, sem usuário logado).
• Marque pelo menos: Tenant.Read.All (leitura) ou Tenant.ReadWrite.All (se for gerenciar conteúdo também).
• Depois de adicionar, clique em "Grant admin consent for [organização]".

⚠️ Sem o "Grant admin consent", as permissões ficam com status "Not granted" e toda chamada de API falha com erro 401/403 — mesmo com o Client Secret certo.

4️⃣ Habilitar Service Principals no Power BI (Admin Portal)

Acesse app.powerbi.com → ⚙️ Configurações → Portal de administração → Configurações do inquilino (Tenant settings).
Procure a seção "Configurações do desenvolvedor" → "Permitir que as entidades de serviço usem APIs REST do Power BI" ("Allow service principals to use Power BI APIs").
• Habilite (Enabled).
• Escolha o escopo: toda a organização, ou (mais seguro) crie um Security Group no Azure AD, adicione o Service Principal como membro, e restrinja a configuração só a esse grupo.

ℹ️ Essa configuração pode levar até 15 minutos para propagar depois de habilitada — se testar na hora e der erro, aguarde um pouco antes de investigar mais.

5️⃣ Dar acesso ao Workspace

No workspace do Power BI que vai ser usado → Acesso (Access) → adicionar o Service Principal.
• Busque pelo nome do App Registration (Service Principals às vezes não aparecem numa busca por e-mail).
• Papel recomendado: Member (suficiente pra visualizar/embutir relatórios). Use Admin só se também for publicar/gerenciar conteúdo por API.

6️⃣ Testar aqui no sistema

Com Tenant ID, Client ID e Client Secret em mãos, vá em "+ Credencial", escolha "Service Principal", preencha os campos e salve. Depois use a aba "⚡ Testar Auth" para validar antes de vincular a relatórios.

⚠️ Master User é mais simples de configurar, mas tem limitações importantes: depende de uma licença individual (Pro/PPU), é sensível a troca de senha, e a Microsoft vem desencorajando esse fluxo (ROPC) por motivos de segurança. Use para testes/POC ou ambientes pequenos — para produção com muitos clientes, Service Principal é o caminho recomendado.

1️⃣ Ter uma conta com licença Power BI Pro ou PPU

O usuário que vai servir de "conta mestre" precisa ter licença Power BI Pro ou Premium Per User (PPU) atribuída — sem isso, a geração de embed falha. Recomendado: criar uma conta de serviço dedicada (ex: pbi-embed@suaempresa.com), em vez de usar a conta pessoal de alguém do time.

2️⃣ Criar o App Registration (permissões Delegated)

Mesmo caminho do passo 1 do Service Principal (Azure AD → App registrations → New registration), mas aqui as permissões de API são Delegated permissions (não "Application") — já que a autenticação usa um usuário real por trás.
Em API permissions → Power BI Service → Delegated permissions, adicione o necessário (ex: Report.Read.All, Dataset.Read.All).

3️⃣ Habilitar "Allow public client flows"

Dentro do app registration → Authentication → seção Advanced settings → "Allow public client flows" → Yes.
Isso é obrigatório para o fluxo usado (usuário + senha direto, sem tela de login interativa) funcionar.

4️⃣ Desabilitar MFA para essa conta específica

O fluxo Master User autentica com usuário + senha direto (ROPC). Isso não funciona se a conta tiver MFA (autenticação multifator) habilitado.

⚠️ Isso é uma redução real de segurança — por isso a recomendação forte de usar uma conta de serviço dedicada (passo 1), com uma Conditional Access policy excluindo só essa conta específica do MFA, em vez de desabilitar MFA pra conta de uma pessoa de verdade.

5️⃣ Testar aqui no sistema

Com Tenant ID, Client ID, usuário (UPN) e senha em mãos, vá em "+ Credencial", escolha "Master User", preencha e salve. Depois valide na aba "⚡ Testar Auth".

Novo usuário gerenciado

Crie um acesso ao portal de relatórios

Foto

Nome completo *

E-mail *

Empresa (tenant) *

Credencial Power BI vinculada *

Senha de acesso

Gerar automaticamente Definir manualmente

Senha personalizada

Empresas cadastradas

Monitoramento — suspenda/reative/cancele. Cadastro de empresa é feito pelo site.

Domínios próprios cadastrados

Nova empresa

O admin da empresa receberá os dados de acesso por e-mail

Nome da empresa *

E-mail do admin *

Senha inicial *

Plano

Configuração de E-mail

SMTP SendGrid — credenciais para envio automático

Host SMTP *

Porta *

Usuário SMTP *

Para o SendGrid use sempre: apikey

Senha (API Key) *

Deixe em branco para manter a chave atual

E-mail remetente *

Deve ser verificado no SendGrid

Nome do remetente

URL do sistema

Usada nos botões dos e-mails enviados

E-mail para teste

Endereço que receberá o e-mail de teste

Vídeos do Guia Azure

Aparecem pra todos os admins na aba "Guia Azure"

Contratos

Contrato mensal gera 12 parcelas automaticamente

Parcelas em atraso (todas as empresas)

Planos & Preços

Defina os valores das mensalidades e promoções. Alterações têm efeito imediato nas novas contratações do Asaas e no site institucional.

💡 Promoções e Descontos: O Preço Vigente é o valor real cobrado na assinatura pelo Asaas. Se você preencher o Preço Original (Riscado), o site institucional e a tela de contratação destacarão a promoção (ex: De R$ 497 por R$ 250).

Carregando planos…

Carousels

Crie e gerencie seus carousels de relatórios

Fila de Relatórios

Relatórios exibidos em sequência automática

Novo item do carousel

Identifique o relatório e configure as opções

1 · Identificar relatório

2 · Buscar páginas

3 · Selecionar & salvar

Nome de exibição *

Workspace

Report ID

Dataset ID (preenchido ao selecionar)

RLS do Dataset

—

Role RLS (deixe vazio se não usar)

Username RLS (opcional)

Configurações

SSO, capacidade Fabric e agendamento

Permite que você e seus usuários entrem clicando em "Entrar com Microsoft", usando a conta do Microsoft 365/Azure AD da empresa — sem precisar cadastrar senha separada. O Tenant ID é preenchido automaticamente a partir da credencial escolhida — não precisa mais copiar do Azure Portal. Só quem loga vindo desse Tenant ID específico tem acesso — ninguém de fora entra por engano. Passo a passo com mais detalhe em Guia Azure.

Credencial Power BI (define o Tenant do SSO)

Tenant ID (automático)

Permitir que qualquer pessoa da empresa crie a própria conta automaticamente ao logar com Microsoft pela primeira vez.
⚠️ Desligado por padrão. Com o Tenant ID sozinho (acima), o SSO só funciona pra quem já tem conta cadastrada — ninguém novo entra sem você criar a conta primeiro. Só ligue isso se realmente quiser que qualquer funcionário com e-mail Microsoft daquela empresa consiga entrar sozinho, sem você precisar cadastrar um por um.

Usuário criado automaticamente (só se o interruptor acima estiver ligado) entra sem relatório atribuído — você atribui depois, normal.

Logs de Acesso

Quem acessou qual relatório, quando, e de onde

Relatórios mais acessados (últimos 30 dias)

Carregando…

Últimos acessos

Usuário	Relatório	Credencial	ID Cliente da Credencial	IP	Abertura	Fechamento
Carregando…

📜 Histórico de refresh de dataset (Portal + Carousel)

Últimas 50 tentativas — inclui sucesso, falha, e o motivo do erro quando houver

Carregando…

Histórico de geração/renovação de token

Últimas 50 tentativas — mostra se usava RLS, quais páginas, e o erro quando houver

Carregando…

Histórico de listagem de workspaces

Últimas 50 tentativas de listar workspaces por credencial

Carregando…